Ihre Netzwerkgeräte laufen mit verwundbarer Firmware. Sie wissen es nur nicht.
Der blinde Fleck der Unternehmenssicherheit, den Angreifer längst gefunden haben
1. Die vergessene Ebene Ihrer Angriffsfläche
Jedes Sicherheitsteam hat einen Prozess für das Schwachstellenmanagement. Qualys scannt Server. Tenable überwacht Endgeräte. Das SIEM sammelt Protokolle. Der Patch Tuesday steht in jedem Kalender.
Stellen Sie Ihrem Team aber eine einfache Frage: Welche Ihrer Netzwerkgeräte laufen gerade mit einer Firmware, für die eine bekannte kritische CVE existiert?
Die meisten Unternehmen können diese Frage nicht beantworten. Nicht, weil es ihnen egal wäre, sondern weil die Werkzeuge nie dafür gebaut wurden.
Die Netzwerkinfrastruktur ist das Skelett Ihres Unternehmens. Switches transportieren jedes Paket. Router verbinden jeden Standort. Firewalls setzen jede Richtlinie durch. Access Points sind der Zugang für jedes WLAN-Gerät in Ihren Gebäuden. Diese Geräte laufen rund um die Uhr, werden selten neu gestartet, und ihre Firmware-Versionen werden fast nie mit derselben Sorgfalt verfolgt wie die Software auf Servern oder Endgeräten.
Access Points verdienen hier besondere Erwähnung. Sie werden oft in großer Zahl eingesetzt, über separate WLAN-Controller oder Cloud-Plattformen verwaltet und nach der Inbetriebnahme stillschweigend vergessen. Dabei laufen auf ihnen vollständige eingebettete Firmware-Stacks, und sie stehen am physischen Rand Ihres Netzwerks, erreichbar für jeden mit einem WLAN-Adapter in Reichweite.
Die unbequeme Wahrheit: Ein Switch oder Access Point, der seit drei Jahren mit derselben Firmware läuft, hat mit hoher Wahrscheinlichkeit mindestens eine öffentlich bekannte kritische Schwachstelle. Die Frage ist, ob irgendjemand in Ihrem Unternehmen weiß, welche.
2. Warum Firmware anders ist und schwerer zu verfolgen
Klassische Schwachstellenscanner wurden für Betriebssysteme und Anwendungen gebaut. Sie fragen ein bekanntes Softwareinventar ab, gleichen es mit einer CVE-Datenbank ab und geben eine Liste aus.
Die Firmware von Netzwerkgeräten bricht mit jeder dieser Annahmen:
Keine standardisierte Abfrageschnittstelle: Firmware-Versionen werden nicht wie Betriebssystemversionen über Scan-Protokolle bereitgestellt
Zersplitterte Versionsschemata:
15.2(4)M,ArubaOS 10.4.0.3,FortiOS 7.4.1. Keine davon lässt sich ohne erhebliche herstellerspezifische Logik sauber CVE-Kennungen zuordnenEmpfindlichkeit auf Unterversionen: Derselbe Firmware-Zweig kann in einer Unterversion verwundbar und in der nächsten gepatcht sein
Heterogene Protokolle: Viele Geräte liefern Versionsinformationen nur über die SSH-CLI, proprietäre REST-APIs oder NETCONF, jeweils je nach Hersteller unterschiedlich
Multi-Vendor-Komplexität: Cisco, Aruba, Fortinet, Juniper, Ubiquiti und Ruckus zusammen vervielfachen diese Zersplitterung, besonders wenn WLAN-Controller Hunderte von Access Points mit jeweils eigener Firmware-Version verwalten
Das Ergebnis? Die meisten Unternehmen haben keinerlei strukturierten Überblick über die Firmware-Sicherheitslage ihrer Netzwerkinfrastruktur. Bestenfalls gibt es eine Tabelle, die jemand vor sechs Monaten aktualisiert hat.
3. Das Lebenszyklusproblem: EoL-Geräte, die offen sichtbar übersehen werden
Firmware-Schwachstellen sind ein Teil des Problems. Hardware am Ende ihres Lebenszyklus (End of Life, EoL) ist der andere, und beide hängen eng zusammen.
Erklärt ein Hersteller ein Gerät für End of Life, stellt er keine Firmware-Updates mehr bereit. Jede danach entdeckte CVE wird nie gepatcht. Das Gerät ist damit dauerhaft und systembedingt verwundbar.
Trotzdem laufen EoL-Geräte in den meisten Unternehmensumgebungen noch jahrelang weiter. Die Gründe sind immer dieselben: Budgetzyklen, aufwendige Migrationen und die Tatsache, dass der Switch „ja noch funktioniert“ und niemand bemerkt hat, dass er aus dem Support gefallen ist. Access Points sind dafür besonders anfällig: In Deckenplatten auf Dutzenden Etagen verbaut, überleben sie ihr Supportfenster schlicht deshalb, weil niemand sie einzeln verfolgt.
Ein EoL-Gerät ist nicht nur alternde Infrastruktur, sondern eine ungepatchte Schwachstelle mit dauerhaftem Status. Es kommt keine Korrektur mehr. Die einzige Lösung ist der Austausch.
Das Problem verschärft sich: Lebenszyklusinformationen sind über Herstellerportale, Produktbulletins und PDFs verstreut, die sich ohne Ankündigung ändern. Es gibt keine einzige verbindliche Quelle. EoL-Daten in einer Multi-Vendor-Umgebung manuell zu verfolgen, ist im Betrieb keine realistische Aufgabe.
Die meisten Unternehmen entdecken ihre EoL-Exposition auf einem von zwei Wegen: bei einem Compliance-Audit oder nach einem Vorfall. Keiner davon ist ein guter Zeitpunkt.
4. CVE-Tracking ohne Firmware-Kontext ist nur Rauschen
Sicherheitsteams erhalten CVE-Feeds. Sie abonnieren Herstellerwarnungen. Sie haben SIEM-Regeln, die bei neuen kritischen CVEs auslösen. Doch ohne zu wissen, welche Firmware-Version genau auf jedem Gerät läuft, ist jede CVE-Warnung bedeutungslos.
Betrifft CVE-2025-20352, die kritische SNMP-Zero-Day-Lücke in über 2 Millionen Cisco-Geräten, tatsächlich Ihr Netzwerk?
Das können Sie nur beantworten, wenn Sie wissen:
Welche Geräte in Ihrer Infrastruktur Cisco IOS oder IOS-XE einsetzen
Welche Firmware-Version genau auf jedem dieser Geräte läuft
Ob diese Versionen in den betroffenen Bereich der Warnung fallen
Ob bereits eine gepatchte Firmware ausgerollt wurde
Ohne dieses Inventar bleiben Sicherheitsteams nur zwei schlechte Optionen: jede CVE als möglicherweise für jedes Gerät relevant behandeln (Alarmmüdigkeit, operativer Stillstand) oder annehmen, dass alles in Ordnung ist, weil niemand ein Problem gemeldet hat (blinder Optimismus).
Beides ist keine Sicherheitsstrategie. Beides ist ein Risiko.
5. So sieht echtes firmwarebasiertes Schwachstellenmanagement aus
Wirksames Firmware-Sicherheitsmanagement braucht drei Fähigkeiten, die zusammenspielen:
Ein genaues Firmware-Inventar in Echtzeit
Sie müssen für jedes Gerät in Ihrem Netzwerk die genaue Firmware-Version kennen, keine Schätzung und nicht den Stand des letzten Quartals. Das Inventar muss sich automatisch aktualisieren, wenn Geräte gepatcht oder ausgetauscht werden, und die gesamte Herstellervielfalt Ihrer Umgebung abdecken.
CVE-Zuordnung auf Firmware-Ebene
Eine CVE für „Cisco IOS“ hilft nicht weiter. Eine CVE für „Cisco IOS 15.2(4)M bis 15.6(3)M“ schon. Die Schwachstellen-Engine muss die genaue Firmware-Version jedes Geräts den konkreten betroffenen Bereichen aus den Herstellerwarnungen zuordnen und nur die CVEs anzeigen, die für Ihr Inventar wirklich relevant sind.
EoL-Tracking pro Gerät
Jedes Gerät muss seinen Lebenszyklusstatus tragen: aktuell unterstützt, kurz vor EoL oder bereits darüber hinaus. Dieser Kontext macht aus Schwachstellendaten eine umsetzbare Priorisierung. Ein EoL-Gerät mit zwei kritischen CVEs ist etwas grundlegend anderes als ein unterstütztes Gerät, das gepatcht werden kann.
6. Wie ConnectMyAssets das Problem löst
ConnectMyAssets hat das Schwachstellenmodul gebaut, das Netzwerkteams bisher gefehlt hat, und wir sind die einzige Plattform am Markt, die die Sicherheit von Netzwerkgeräten auf diese Weise angeht.
Automatische Firmware-Erkennung in Ihrer gesamten Infrastruktur
ConnectMyAssets verbindet sich über eine eigene Multi-Vendor-Engine mit jedem Gerät Ihrer Netzwerkinfrastruktur. Sie wurde gezielt dafür entwickelt, die ganze Vielfalt an Herstellern, Firmware-Generationen und Kommunikationsmodellen in realen Unternehmensumgebungen zu bewältigen. Switches, Router, Firewalls und Access Points gleichermaßen. Ohne Agenten. Ohne manuelles Inventar. Ohne Tabellen. Die CMDB bleibt automatisch aktuell, in Multi-Vendor-Umgebungen mit Cisco, Aruba, Fortinet, Juniper, Ubiquiti, Ruckus und vielen weiteren, einschließlich WLAN-Controllern mit großen Access-Point-Installationen.
CVE-Bewertung passend zur Firmware
Unsere Schwachstellen-Engine gleicht die Firmware-Version jedes Geräts mit einer aktiv gepflegten CVE-Datenbank mit herstellerspezifischer Normalisierung ab. Wir zeigen nicht einfach CVEs an, in denen ein Herstellername vorkommt, sondern ordnen die genauen betroffenen Versionsbereiche zu. Das Ergebnis: eine Liste der Geräte, die tatsächlich exponiert sind, mit CVSS-Werten und Behebungshinweisen. Keine Liste von Geräten, die vielleicht betroffen sind.
Wird eine neue kritische CVE veröffentlicht, etwa CVE-2025-20352, die SNMP-Zero-Day-Lücke, die über 2 Millionen Cisco-Geräte betraf, zeigt Ihnen ConnectMyAssets sofort, welche Geräte in Ihrer Infrastruktur mit betroffener Firmware laufen. Nicht hypothetisch, sondern konkret.
End-of-Life-Transparenz inklusive
Jedes Gerät in Ihrem ConnectMyAssets-Inventar trägt seinen Lebenszyklusstatus. Geräte, die sich dem End of Life nähern, werden vorausschauend markiert. Geräte, die ihr EoL-Datum bereits überschritten haben, erscheinen in einer eigenen Ansicht. So planen Sie den Austausch, bevor Sie dauerhaft nicht unterstützte Infrastruktur betreiben.
Zusammen mit den Firmware-CVE-Daten ergibt das eine Risikomatrix, die es so bisher nicht gab: welche Geräte EoL sind, welche ungepatchte CVEs tragen und welche beides betrifft. Genau diese gehören sofort ganz oben auf Ihre Liste der Behebungen.
Fazit
Die Netzwerkinfrastruktur ist zu kritisch, um sie mit Tabellen und Hersteller-PDFs zu verwalten. Firmware-Schwachstellen sind real, sie werden aktiv ausgenutzt, und sie betreffen Geräte, für die Ihre bestehenden Sicherheitswerkzeuge nie gedacht waren.
Widerstandsfähig werden die Unternehmen sein, die diese Lücke schließen, bevor ein Angreifer sie findet. Das heißt: genau wissen, welche Firmware auf jedem Gerät läuft, welche CVEs es betreffen und welche Geräte ihren unterstützten Lebenszyklus bereits hinter sich haben.
Genau dafür wurde ConnectMyAssets gebaut.
